CVE-2026-85257
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Apache Camel CXF polega na ujawnianiu informacji wrażliwych w komunikatach błędów SOAP. Gdy trasa za konsumentem SOAP CXF kończy się wyjątkiem, którego kontrakt usługi nie deklaruje, szczegóły wyjątku (nazwy klas, pakietów, treść komunikatu, a opcjonalnie stos wywołań) są zwracane klientowi w faultstring lub fault detail. Problem dotyczy Apache Camel w wersjach od 4.0.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.
Ocena ryzyka
Zewnętrzny wywołujący może wywołać błąd i odczytać wewnętrzne szczegóły wdrożenia, takie jak nazwy klas i pakietów oraz treść wyjątków, co ułatwia rozpoznanie środowiska i może posłużyć do dalszych ataków. Ryzyko dotyczy usług SOAP wystawionych przez Apache Camel CXF.
Rekomendacja
Zaktualizuj Apache Camel do wersji 4.23.0, a w przypadku strumieni LTS do 4.18.5 lub 4.22.1. Jeśli aktualizacja nie jest możliwa od razu, zadeklaruj dozwolone wyjątki w kontrakcie usługi i mapuj pozostałe błędy na jeden z nich w handlerze onException, aby żaden niezadeklarowany wyjątek nie trafił do fault.
Powiązane podatności
- CVE-2026-122051Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcjonalności pliku /goform/mp. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-54384Krytyczne
API chmurowe VitaFit w wersji przed 2026-10-30 zawierało podatność omijania uwierzytelniania, pozwalającą zdalnym atakującym uzyskać pełną sesję konta ofiary poprzez przesłanie identyfikatora powiązanego konta Google lub Facebook do punktu końcowego POST /front/login/sns/ bez dowodu własności od dostawcy tożsamości. Atakujący może sfałszować logowanie przy użyciu identyfikatora ujawnionego przez enumerację kont, aby odczytać i zmodyfikować profil ofiary oraz usunąć rekord uwierzytelniania konta.
- CVE-2026-52848Krytyczne
GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.8 nieuwierzytelniony użytkownik mógł użyć spreparowanego adresu URL, aby pominąć weryfikację hasła jednorazowego podczas logowania, obchodząc uwierzytelnianie dwuskładnikowe. Problem naprawiono w wersji 11.0.8.
- CVE-2026-115770Krytyczne
Pocket ID to dostawca OIDC umożliwiający logowanie za pomocą passkeys. W wersjach od 2.2.0 do 2.12.0 funkcja SendEmailVerification wiąże token weryfikacji e-mail tylko z identyfikatorem użytkownika, podczas gdy UpdateUser może zmienić adres e-mail bez unieważnienia tokenu, a VerifyEmail oznacza bieżący adres jako zweryfikowany. Zwykły użytkownik może zażądać tokenu dla kontrolowanego adresu, zmienić konto na dowolny nieużywany adres i wykorzystać stary token, aby Pocket ID opublikował nowy adres z email_verified ustawionym na true.
- CVE-2026-97693Krytyczne
Platforma Yuxi w wersjach od 0.6.0.beta1 do 0.7.1 ma niewystarczającą izolację między sandboxami Docker a zaufanymi usługami aplikacji. Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać dostęp do API sandboxów innych najemców, ich plików i sekretów, a także wykonywać polecenia i zarządzać sandboxami bez znajomości poświadczeń administratora.
- CVE-2026-57566Krytyczne
Czytnik ebooków Readest przed wersją 0.11.10 zawiera nieuwierzytelnioną trasę /api/opds/proxy, która pobiera kontrolowany przez atakującego URL po stronie serwera bez ograniczeń schematu, blokowania prywatnych i lokalnych adresów oraz ponownej walidacji przekierowań. Trasa akceptuje również nagłówki wychodzące i wartości Authorization od wywołującego oraz odzwierciedla status i treść odpowiedzi serwera źródłowego.
- CVE-2026-54378Krytyczne
API chmurowe VitaFit przed 2026-10-30 zawierało podatność polegającą na błędnej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać tymczasowe poświadczenia AWS poprzez wywołanie endpointu POST /front/user/s3/token/. Atakujący może użyć tych niewłaściwie ograniczonych poświadczeń do listowania współdzielonego bucketa i odczytu lub nadpisania plików innych użytkowników.
- CVE-2026-102895Krytyczne
GPUStack przed wersją 2.2.0 traktował żądania pochodzące z pętli zwrotnej jako pochodzące od wbudowanego administratora, gdy force_auth_localhost było wyłączone (domyślnie). Zdalne żądanie mogło wyglądać na pochodzące z 127.0.0.1, co pozwalało na nieuwierzytelniony dostęp administracyjny, w tym zmianę użytkowników i modeli, tworzenie trwałych kluczy API administratora, ujawnianie sekretów oraz wykonanie kodu.
- CVE-2026-102894Krytyczne
GPUStack w wersjach od 0.7.1 do 2.2.2 zawiera endpoint /auth/saml/callback, który dekoduje XML SAML i używa NameID oraz atrybutów do uwierzytelnienia lub utworzenia użytkownika bez weryfikacji podpisu, wystawcy, odbiorcy, miejsca docelowego ani warunków czasowych. Dowolny klient sieciowy może podszyć się pod istniejącego użytkownika, w tym administratora, lub utworzyć nowe konto, nawet gdy SAML nie jest skonfigurowany.
- CVE-2026-82418Krytyczne
IBM Watson Speech Services Cartridge w wersjach od 4.0.0 do 5.4.0 zawiera podatność use-after-free, która może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel CXF component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. When a route behind a CXF SOAP consumer failed with an exception the service contract does not declare, the exception was described back to the SOAP client in the fault: CXF copies the message into the SOAP faultstring, and can be configured to place the stack trace in the fault detail. An external caller able to provoke a failure could therefore read internal detail about the deployment - class and package names, and whatever the exception message carries. Declared faults, annotated @WebFault, are a different matter: those are part of the published contract that clients are written against, and suppressing them would break the service rather than protect anything. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. A muteException consumer option, defaulting to true, replaces an undeclared route failure with a generic fault carrying no class name, message or stack trace. Faults the contract declares are reported exactly as before. Set muteException=false to restore the previous output. For deployments that cannot upgrade immediately, declare the exceptions the service is allowed to report and map every other failure onto one of them in an onException handler, so no undeclared exception reaches the fault.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS